Si può fermare l'impunità online senza uccidere l'anonimato?

C'è un problema che chiunque lavori nella sicurezza informatica conosce bene, ma che quasi nessuno prova a risolvere sul serio: online, la stessa caratteristica che protegge le persone più vulnerabili, l'anonimato, è anche lo scudo dietro cui si nascondono cyberbullismo, diffamazione, istigazione all'odio e pedopornografia.

Le piattaforme oggi oscillano tra due estremi, entrambi insoddisfacenti. Da un lato lasciano tutto pseudonimo, e allora chi commette un reato online resta quasi sempre impunito. Dall'altro impongono l'identità reale in chiaro, e allora a pagare il prezzo sono whistleblower, vittime di violenza, dissidenti e minoranze che dell'anonimato hanno bisogno per sopravvivere.

Ho passato del tempo a pensare se esistesse una terza via, tecnicamente solida e non solo teorica.

Ne è uscita una proposta di policy che ho chiamato Q-eID (Qualified e-Identity Escrow for Social Platforms), pensata come integrazione al Regolamento sui Servizi Digitali (DSA) e coordinata con il quadro eIDAS 2.0, che ho già inviato all’AgID e al Garante Privacy.

L'idea di fondo: due identità, non una

Il cuore della proposta è una scissione netta tra due livelli.

Verso l'esterno, cioè verso la piattaforma e gli altri utenti, la persona resta pseudonima. Nessuno vede il suo nome reale, esattamente come oggi.

Verso l'ordinamento giuridico, invece, quell'account è ancorato a un'identità legale reale, verificata e sigillata, sbloccabile solo da un'ordinanza motivata della Magistratura nell'ambito di un procedimento penale. Non da un moderatore, non da un algoritmo, non da una segnalazione di massa.

È la stessa logica delle intercettazioni telefoniche: la riservatezza è la norma, lo sblocco è l'eccezione e richiede sempre un giudice.

Come funziona, tecnicamente, senza creare un nuovo database da violare

Il problema di qualsiasi sistema di verifica d'identità è sempre lo stesso: se crei un database centralizzato con i dati reali di milioni di utenti, hai appena costruito il bersaglio perfetto per il prossimo grande data breach.

Per evitarlo, la proposta Q-eID si appoggia su tre elementi già esistenti o previsti dalla normativa europea:

eIDAS 2.0 e il portafoglio digitale europeo (EUDI Wallet):

L'infrastruttura che ogni Stato membro dell'UE è obbligato a rendere disponibile ai cittadini entro la fine del 2026. Non è fantascienza normativa, è una scadenza già scritta nel regolamento.

Le Zero-Knowledge Proofs (ZKP):

Una tecnologia crittografica che permette al sistema di confermare "questa persona è reale, maggiorenne e residente UE" senza mai rivelare alla piattaforma il nome, il cognome o il codice fiscale. La piattaforma riceve una prova matematica, non un documento.

La cifratura di soglia (Threshold Encryption):

che frammenta il dato identificativo reale e ne affida le chiavi di decifratura, separatamente, all'Autorità Garante della Privacy e a un'infrastruttura fiduciaria della rete giudiziaria europea. Nessuno dei due soggetti, da solo, può riaprire quella scatola. Serve l'intervento di entrambi, dietro un provvedimento giudiziario.

Il nodo dei minori

Per gli account riferiti a minori di 14-16 anni, la proposta prevede un collegamento cifrato con il portafoglio digitale del genitore o tutore, privo però di visibilità pubblica: il legame genitore-figlio non è accessibile a terzi né commercializzabile dalla piattaforma.

Il genitore può impostare fasce d'età dei contenuti, restrizioni sui messaggi diretti e limiti di utilizzo, senza che quel legame diventi un dato di marketing per l'azienda.

Perché non è la stessa cosa già provata (e fallita) in Corea del Sud

Nel 2007 la Corea del Sud impose l'obbligo del nome reale visibile pubblicamente su qualsiasi sito con oltre 100.000 visitatori al giorno, nel tentativo di arginare gli insulti online. La Corte Costituzionale coreana l'ha dichiarata incostituzionale nel 2012, perché violava la libertà di espressione: rendere il nome reale visibile a tutti significava esporre ogni utente a ritorsioni, doxing e censura sociale, oltre a fare dei siti coreani un bersaglio privileged per gli attacchi hacker.

È esattamente l'errore che Q-eID prova a evitare: lo pseudonimato pubblico resta intatto sempre. Cambia solo cosa succede quando un giudice, non un'azienda privata né una folla online, decide che serve sapere chi c'è dietro un account per un reato specifico.

Sanzioni e quadro normativo

Il DSA prevede già, per le piattaforme che non collaborano con le autorità o non adempiono ai propri obblighi, multe fino al 6% del fatturato annuo globale (Articolo 52). Q-eID propone di innestare su questa cornice un meccanismo di enforcement graduato, dal semplice avviso fino, nei casi più gravi come stalking, materiale pedopornografico e istigazione a delinquere, all'apertura di un fascicolo penale con richiesta motivata di sblocco dell'identità.

Le domande a cui una proposta come questa deve saper rispondere

Sarei disonesta se la presentassi come priva di ostacoli. Chi la legge con occhio critico, giustamente, solleverà alcune obiezioni.

Innanzitutto la complessità tecnica e di coordinamento, perché far dialogare 27 sistemi giudiziari nazionali, l'infrastruttura EUDI Wallet e migliaia di piattaforme diverse è un'impresa enorme, anche a normativa già scritta.

C'è poi il rischio di scope creep, ovvero il timore che un'infrastruttura pensata per reati gravi possa, nel tempo e sotto pressione politica, essere estesa a casi meno gravi di quelli originariamente previsti. È la preoccupazione ricorsiva di chi si occupa di diritti digitali di fronte a qualsiasi sistema che colleghi, anche solo potenzialmente, pseudonimo e identità reale.

Vanno considerate le piattaforme extra-UE, dove il meccanismo del watermark per gli account non verificati eIDAS aiuta, ma non elimina del tutto la possibilità che chi vuole aggirare il sistema si sposti su piattaforme fuori dalla giurisdizione europea.

Infine la fiducia nel fatto che solo un giudice possa sbloccarla, poiché la garanzia regge quanto regge l'indipendenza della magistratura del singolo Stato membro, un presupposto che nell'Unione Europea non è uniforme allo stesso modo ovunque.

Non sono obiezioni che invalidano l'idea di fondo, ma sono il motivo per cui una proposta come questa deve restare oggetto di dibattito pubblico, tecnico e giuridico, prima di qualunque adozione, e non un pacchetto chiuso da approvare così com'è.

Questa proposta di policy, "Q-eID", è un lavoro originale a mia firma, già trasmesso alle istituzioni competenti. Il testo integrale è disponibile su richiesta ed è pubblicato con licenza Creative Commons CC BY-NC-ND 4.0: può essere condiviso citando la paternità, ma non modificato né usato a fini commerciali senza autorizzazione. Sono disponibile a discuterne con chiunque, nelle istituzioni o fuori, sia per approfondirne gli aspetti tecnici sia per confrontarmi sulle obiezioni sopra elencate.